Split-tunneling mod virksomhedspolitik: hvilken regel vinder

At sætte flueben ved én app i en split-tunnel-klient føles som en lokal præference, og på en administreret enhed er det tættere på en politikændring. Undtagelsen flytter trafik væk fra den godkendte vej, som kan være den samme vej, der bærer administreret DNS, filtrering og den kildeadresse, en tjeneste genkender. Klienten gør ikke noget forkert, når den ruller din ændring tilbage; udrulningen passer sit arbejde.

Før du skændes om afkrydsningsfeltet, skal du finde ud af, hvilken egenskab politikken findes for at beskytte.

Egenskaben bag reglen

Nogle udrulninger ruter alt, så al trafik passerer en godkendt gateway. Andre går op i navneopløsning og holder forespørgsler på virksomhedens resolver frem for den lokale netværks. Andre igen har brug for en stabil kildeadresse, så interne tjenester kan afgøre, om de overhovedet skal svare.

En fjerde gruppe håndhæver enhedens tilstand: diskkryptering, patch-niveau, agentens helbred. At dele tunnelen ændrer ikke det, mens en omvej, der undgår agentens egen trafik, kan.

Det er fire forskellige krav, og hvert brydes af en forskellig undtagelse. Læs kravet, før du foreslår ændringen, for den, der skrev det, kan straks sige, hvilket der gælder. En ændring, der opfylder det forkerte, køber intet.

To påstande er værd at forkaste tidligt. Fuld tunneling giver ikke administratorer hver klartekstside, for applikationskryptering og enhedskontroller afgør, hvad der er synligt. Split-tunneling er heller ikke universelt usikkert, for administreret DNS, politikker per app og enhedsagenter kan holde uanset ruten.

Kør kontrollerne i rækkefølge

Rækkefølgen nedenfor indsnævrer en undtagelse til det mindste, der faktisk fejlede. Stop ved den første kontrol, der ikke holder, for en senere rettelse kan ikke opveje et tidligere hul.

Spørg, hvilken trafik der nu misser den godkendte gateway, og bekræft derefter, at navneopløsningen stadig når virksomhedens resolver. Tjek, om den pågældende app respekterer en kill switch, eller om den brugte det mislykkede forsøg på en direkte rute. Se derefter på delte tjenester: en dokumentfremviser eller opdateringsmægler kan bære undtagelsen længere, end afkrydsningsfeltet antyder. Notér til sidst, om politikken anvendes igen ved genopkobling, for den adfærd afgør, om en lokal ændring overlever.

Hvert svar er en kendsgerning, og kendsgerninger er, hvad en undtagelsesanmodning har brug for. En diskussion om, hvorvidt VPN’en er irriterende, er ikke en af dem. Skriv svarene ned, før samtalen begynder.

Bed om en snæver undtagelse

Rapportér appen, destinationen og den handling, der fejlede, i den rækkefølge. En anmodning om at holde én opdatering på den direkte vej kan vurderes; en anmodning om at omgå tunnelen for hele browseren kan ikke.

Beskriv, hvad du allerede har prøvet, og hvad loggene viste, og ret det til det team, der ejer profilen, i stedet for den, der svarer på helpdesken. På en administreret enhed kan profilejeren normalt oprette en understøttet undtagelse, der overlever opdateringer, mens en lokal ruteændring ikke kan.

Hvis svaret er nej, skal du behandle det som en designbeslutning og ikke som en forhindring at omgå. Den næste gennemgang er stedet til at genåbne det med den fejlede handling dokumenteret og forretningsårsagen vedlagt. At omgå det risikerer mere, end undtagelsen nogensinde var værd.

Gør undtagelsen holdbar

Efter en godkendt ændring skal du bekræfte de dele, der virkede før, ikke kun den del, der var brudt. Interne navne skal stadig opløses via virksomhedens resolver, private ressourcer skal stadig svare, og den tidligere fejlede opgave skal nu fuldføres.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Den første kommando beviser, at resolveren stadig svarer på et internt suffiks, og den anden beviser, at en forespørgsel når den interne tjeneste fra den aktuelle rute. Kør dem igen efter en genopkobling, for et politik-push kan i stilhed fortryde en ændring, der så stabil ud under testen. To linjer output gemt med billetten lukker cirklen. Uden dem hviler undtagelsen på nogens erindring om en side, der indlæste én gang.

Notér undtagelsen, dens formål og de komponenter, den dækker, samme sted som udrulningsnoterne. En udokumenteret undtagelse bliver næste kvartals hændelse, og en dokumenteret bliver bevis på, at designet håndterer en reel arbejdsbyrde.